Un finto colloquio di lavoro ha permesso agli hacker di rubare 6,3 miliardi di dollari da Binance. Gli aggressori hanno trascorso mesi infiltrandosi nell’exchange, impiegando tattiche contro cui altre aziende crypto avevano già lanciato l’allarme molto prima della violazione.
Il 3 novembre, Binance ha rivelato che l’attacco del 29 ottobre è iniziato con due ingegneri ai quali sono stati compromessi separatamente i computer.
Il primo episodio si è verificato a giugno, quando un ingegnere ha scaricato un pacchetto software manomesso mentre cercava uno strumento di Intelligenza Artificiale.
Binance ha rilevato l’infezione, ha sostituito il computer e modificato le credenziali di accesso. Tuttavia, gli hacker avevano già raccolto informazioni sull’impiegato e sul team dei wallet.
Poi sono arrivati i falsi colloqui di lavoro.
Una truffa lavorativa è costata a Binance oltre 6 miliardi di dollari
A settembre, un altro ingegnere è stato contattato tramite una piattaforma di recruiting legittima. Il presunto datore di lavoro ha organizzato dei colloqui in videochiamata con una rappresentante delle risorse umane e con una persona che si spacciava per il CEO dell’azienda.
L’ingegnere ha infine ricevuto un compito di programmazione. I file scaricati contenevano malware che hanno aggirato il software di sicurezza del computer.
Entro il 20 ottobre, gli aggressori hanno utilizzato il computer compromesso e uno strumento interno di Intelligenza Artificiale per raggiungere altri ingegneri di Binance.
Hanno poi rubato le credenziali di distribuzione e le hanno sfruttate per inserire software malevolo nell’infrastruttura dei wallet di Binance.
Il 29 ottobre sono iniziati prelievi fraudolenti. Nel giro di poche ore sono stati sottratti circa 6,3 miliardi di dollari.
Binance riferisce che circa 2,85 miliardi di dollari sono stati congelati e che il 98% dei token coinvolti è stato ripristinato usando fondi aziendali.
Altri exchange avevano già messo in guardia contro questi attacchi
La tattica del reclutamento era già ben documentata.
Nel maggio 2025, Kraken ha smascherato un presunto operatore nordcoreano mentre cercava di entrare nel loro team di ingegneri.
Coinbase ha segnalato un altro caso sospetto di infiltrazione nell’agosto 2026, spiegando in dettaglio come un’attività insolita abbia permesso di identificare una possibile compromissione da parte di un collaboratore esterno.
Anche più direttamente, Microsoft aveva avvertito a marzo che hacker legati alla Corea del Nord stavano usando falsi colloqui di lavoro per programmatori allo scopo di infettare i computer degli sviluppatori.
Perché Binance non è riuscito a fermare tutto ciò?
Oggi ci sono tre domande di sicurezza che attendono risposta.
Primo, perché un dipendente poteva eseguire un compito di programmazione da fonti non attendibili su un computer connesso ai sistemi aziendali?
Secondo, perché l’infezione di giugno ha continuato ad avere conseguenze anche dopo l’intervento rilevato e risolto da Binance?
Terzo, come è stato possibile che credenziali di distribuzione rubate abbiano permesso agli aggressori di accedere a sistemi che autorizzano prelievi per miliardi di dollari?
Binance non ha spiegato quali misure di sicurezza non hanno funzionato né se gli avvertimenti precedenti dell’industria abbiano portato a nuove protezioni.
L’FBI ha attribuito il furto al gruppo nordcoreano TraderTraitor.
Per Binance, la domanda centrale è come una truffa di assunzione già nota sia riuscita a compromettere l’infrastruttura che protegge miliardi di dollari in asset dei clienti.
